דליפת המפתחות בארנק Fearless נמשכה כמעט 20 חודשים, ופולקדוט כבר קיצרה את חלון ההצלה ליומיים

במשך כמעט 20 חודשים, משתמשים בתוסף הדפדפן של Fearless Wallet היו חשופים לכך שהמפתחות לכספם נשלחים לשרת זר. קרן הקהילה של פולקדוט (Polkadot Community Foundation) פרסמה ב-21 באוקטובר אזהרה שלפיה התוסף, ארנק צד שלישי שמשמש מחזיקי DOT, מדליף מפתחות פרטיים של משתמשים מאז פברואר 2025. עד כה דיווחו שמונה משתמשים על העברות לא מורשות בהיקף כולל של 17,286 DOT.

הפרצה מעוררת שאלות גם בגלל העיתוי שלה. שלושה חודשים לפני הגילוי, הרשת קיצרה דרסטית את הזמן שנדרש כדי לשחרר מטבעות מסטייקינג, וכך גם את הזמן שעומד לרשות מי שמנסה להציל כספים מחשבון שנפרץ.

מה הקוד הזדוני אסף ואיך הצליח להסתתר

הגילוי הגיע בעקבות חקירה של ה-Technical Fellowship של פולקדוט, שאיתר בתוסף קוד שמסוגל לשלוף את פרטי הגישה לארנק. חברת אבטחת הבלוקצ'יין SlowMist זיהתה את הגרסאות הנגועות: 3.0.1, וכן 3.0.3 עד 3.0.5. לפי SlowMist, כשמשתמש שחרר את נעילת הארנק, הקוד יכול היה לאסוף את מילות השחזור, המפתחות הפרטיים וקובצי ה-keystore (קובץ מוצפן שמכיל את המפתח) ולשלוח אותם בבקשות HTTP לשרת חיצוני.

מנגנון הגדרה מרחוק אפשר להדליק ולכבות את ההתנהגות הזדונית, וזה עלול היה להקשות על משתמשים לזהות את הפרצה. לפי החוקרים, הקוד הוסר מקוד המקור ביוני והמתג המרוחק נוטרל באוקטובר. שני הצעדים האלה לא מבטלים פרטי גישה שהתוקפים כבר השיגו.

אפליקציות המובייל של Fearless שנבדקו לא הכילו את אותו קוד. ובכל זאת, מי שייבא את פרטי הגישה החשופים לאפליקציה אחרת עדיין פגיע, כי ייתכן שהמפתחות כבר ידועים לתוקפים. הקרן כתבה: "אם השתמשתם בתוסף הדפדפן של Fearless Wallet, צרו זוג מפתחות חדש בארנק אחר והעבירו את הכספים שלכם בהקדם האפשרי".

רפרנדום 1910 והחשבון של 672 שעות

ב-סטייקינג של פולקדוט, נומינטורים הם מחזיקים שמאצילים את ה-DOT שלהם לוולידטורים (המפעילים שמאמתים בלוקים) ומקבלים תגמול. ברפרנדום 1910 החליטה הרשת לבטל לנומינטורים את קנסות ה-slashing (שריפת חלק מהמטבעות כעונש על התנהגות לא תקינה של הוולידטור) ולקצר את תקופת ה-unbonding המקסימלית, זמן ההמתנה בין בקשת השחרור לרגע שבו אפשר להעביר את המטבעות, מ-28 יום ליומיים. השינוי נכנס לתוקף ב-6 ביולי, ומטרתו הייתה להפוך את הסטייקינג לאטרקטיבי יותר.

28 יום הם 672 שעות. לפי הכללים החדשים, משיכה חדשה של נומינטור יכולה להיות זמינה אחרי 24 עד 48 שעות, תלוי בלוח הזמנים של הרשת. כלומר החלון הצטמצם פי 14 במקרה של 48 שעות, ופי 28 אם המשיכה משתחררת אחרי יממה. ומבחינת היקף הנזק המדווח, 17,286 DOT משמונה משתמשים הם בממוצע כ-2,161 DOT לכל נפגע.

בעבר, תוקף שהשיג מפתח ופתח בקשת שחרור היה צריך לחכות עד ארבעה שבועות עד שהמטבעות יהיו ניתנים להעברה. בזמן הזה הבעלים או מומחי חילוץ יכלו לשים לב לפעילות חריגה ולהתערב. היום התוקף עשוי לסיים את המהלך לפני שהבעלים מגלה את הפרצה.

לפי CryptoSlate, לא הוכח שהקיצור גרם לאף אחת מההעברות הלא מורשות שדווחו. בקשות שחרור שנפתחו לפני העדכון של יולי נשארו בלוח הזמנים הישן, ועל וולידטורים וסוגים אחרים של יתרות נעולות חלות מגבלות שונות.

האזהרה של PAPI Rescue הגיעה לפני הפרצה

הסיכון זוהה מראש. ב-30 ביוני, כשבוע לפני שהשינוי נכנס לתוקף, הזהיר PAPI Rescue, שירות חילוץ שפיתח צוות polkadot-api, שקיצור ה-unbonding מ-28 יום לשני eras (יחידות הזמן של הרשת) עלול להשאיר זמן לא מספיק להתערבות בחשבונות פרוצים, אלא אם המשתמשים פונים למומחים מהר.

השירות טוען שחילץ נכסים בשווי של יותר מ-250 אלף דולר מחשבונות פרוצים, ומפרסם שיעור הצלחה של 100% בקרב המקרים שעמדו בתנאי הסף. התהליך כולל אימות בעלות ובדיקה אם כללי העסקאות והסטייקינג של הרשת עדיין מגינים על כספים נעולים או שמורים. מי שמחזיק במפתח הפרטי יכול בדרך כלל לחתום על עסקאות בדיוק כמו הבעלים החוקי, ולכן ההצלה אפשרית רק כל עוד מגבלות הפרוטוקול מונעות מהמטבעות לזוז. ברגע שהם הופכים לניתנים להעברה, ייתכן שהשירות כבר לא יוכל לעזור, ואין ערובה להצלחה.

הקרן הפנתה מחזיקים פגועים שיש להם נכסים נעולים לשקול פנייה ל-PAPI Rescue לפני שהם מבקשים לשחרר סטייקינג.

מחזיקי DOT בישראל: מה בודקים לפני שלוחצים על unstake

אם אתם מחזיקים DOT בארנק עצמאי ולא בבורסה, ובמיוחד אם אתם משתמשים בתוסף דפדפן, שהוא ארנק חם שמחובר לרשת כל הזמן, עברו על הרשימה הבאה:

• בדקו אם התקנתם את תוסף הדפדפן של Fearless Wallet בשלב כלשהו מאז פברואר 2025, גם אם הסרתם אותו מאז.
• אם כן, צרו זוג מפתחות חדש לגמרי בארנק אחר. החלפת סיסמה, התקנה מחדש של התוסף או העברת אותן מילות שחזור לארנק אחר משאירים את החשיפה בעינה.
• אם ה-DOT שלכם בסטייקינג, אל תמהרו לפתוח בקשת שחרור. לפי הקרן, יציאה מסטייקינג עלולה להקדים את הרגע שבו גם התוקף יכול להעביר את המטבעות. בדקו קודם אילו מגבלות משיכה עדיין חלות על החשבון.
• אל תמסרו את המפתח הפרטי לאף אחד, כולל צוותי חילוץ. הקרן הזהירה במפורש מפני הצעות שחזור לא יזומות.

לטווח הארוך, מי שמחזיק סכום משמעותי בסטייקינג יכול לשקול לנהל אותו מארנק חומרה במקום מתוסף דפדפן. המדריך לשמירה בטוחה של קריפטו מפרט את ההבדלים בין ארנק חם לקר ואת הדרכים לגבות מילות שחזור.

קיצור ה-unbonding נועד לתת למחזיקי DOT גישה מהירה יותר לכספם, אבל אותה גישה מהירה זמינה גם למי שמחזיק במפתח גנוב. מי שמחזיק היום DOT בסטייקינג כנומינטור פועל עם מרווח של יממה או יומיים במקום ארבעה שבועות.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.